{"id":85141,"date":"2020-06-13T13:42:24","date_gmt":"2020-06-13T11:42:24","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/chto-delat-esli-k-tvoemu-hosteru-prishli-siloviki"},"modified":"2020-06-13T13:42:24","modified_gmt":"2020-06-13T11:42:24","slug":"chto-delat-esli-k-tvoemu-hosteru-prishli-siloviki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/chto-delat-esli-k-tvoemu-hosteru-prishli-siloviki","title":{"rendered":"Co zrobi\u0107, je\u015bli do twojego hosta przyszli silowiki","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Co<\/a><\/noindex>kdpv \u2014 Reuters<\/i><\/p>\n

Je\u015bli wynajmujesz serwer, nie masz pe\u0142nej kontroli nad nim. To oznacza, \u017ce w ka\u017cdej chwili do hosta mog\u0105 przyj\u015b\u0107 wyspecjalizowani ludzie i poprosi\u0107 o udost\u0119pnienie wszelkich twoich danych. A host je przeka\u017ce, je\u015bli \u017c\u0105danie b\u0119dzie sformu\u0142owane zgodnie z prawem. <\/p>\n

Absolutnie nie chcesz, aby logi twojego serwera WWW lub dane u\u017cytkownik\u00f3w trafi\u0142y w niepowo\u0142ane r\u0119ce. Idealnej ochrony zbudowa\u0107 si\u0119 nie da. Ochrona przed hostem, kt\u00f3ry posiada hypervisor i udost\u0119pnia ci maszyn\u0119 wirtualn\u0105, jest niemal niemo\u017cliwa. Ale by\u0107 mo\u017ce uda si\u0119 nieco zmniejszy\u0107 ryzyko. Szyfrowanie wynajmowanych maszyn nie jest tak bezu\u017cyteczne, jak si\u0119 wydaje na pierwszy rzut oka. Przyjrzyjmy si\u0119 r\u00f3wnie\u017c zagro\u017ceniom zwi\u0105zanym z wydobywaniem danych z fizycznych serwer\u00f3w.
\n<\/a><\/noindex><\/p>\n

Model zagro\u017ce\u0144<\/h2>\n

\nZazwyczaj host b\u0119dzie si\u0119 stara\u0142 maksymalnie chroni\u0107 interesy klienta w zakresie dozwolonym przez prawo. Je\u015bli w pi\u015bmie od organ\u00f3w publicznych poproszono tylko o logi dost\u0119pu, host nie powinien przekazywa\u0107 dump\u00f3w wszystkich twoich maszyn wirtualnych z bazami danych. Przynajmniej nie powinien. Je\u015bli poprosz\u0105 o wszystkie dane, host skopiuje wirtualne dyski ze wszystkimi plikami, a ty si\u0119 o tym nie dowiesz.<\/p>\n

Bez wzgl\u0119du na to, jak potocz\u0105 si\u0119 wydarzenia, twoim g\u0142\u00f3wnym zadaniem jest uczyni\u0107 atak zbyt skomplikowanym i kosztownym. Zazwyczaj istniej\u0105 trzy podstawowe warianty zagro\u017cenia.<\/p>\n

Oficjalny<\/h2>\n

\nNajcz\u0119\u015bciej do oficjalnego biura hosta wysy\u0142ane jest papierowe pismo z \u017c\u0105daniem udost\u0119pnienia potrzebnych danych zgodnie z odpowiednim postanowieniem. Je\u015bli wszystko jest sformu\u0142owane poprawnie, host udost\u0119pnia potrzebne logi dost\u0119pu oraz inne dane organom publicznym. Zwykle po prostu prosz\u0105 o przes\u0142anie potrzebnych informacji.<\/p>\n

Rzadko, je\u015bli to naprawd\u0119 konieczne, przedstawiciele organ\u00f3w \u015bcigania osobi\u015bcie przyje\u017cd\u017caj\u0105 do centrum danych. Na przyk\u0142ad, gdy posiadasz w\u0142asny serwer dedykowany i dane mo\u017cna zabra\u0107 tylko fizycznie stamt\u0105d.<\/p>\n

We wszystkich krajach, aby uzyska\u0107 dost\u0119p do prywatnych teren\u00f3w, przeprowadzi\u0107 przeszukania i inne dzia\u0142ania, wymagane jest posiadanie dowod\u00f3w, \u017ce dane mog\u0105 zawiera\u0107 wa\u017cne informacje dla \u015bledztwa w sprawie przest\u0119pstwa. Ponadto, konieczny jest wa\u017cny nakaz przeszukania zgodny z wszystkimi regulacjami. Mog\u0105 wyst\u0119powa\u0107 r\u00f3\u017cne niuanse zwi\u0105zane z lokalnym prawodawstwem. Najwa\u017cniejsze, co trzeba zrozumie\u0107, to \u017ce w przypadku prawid\u0142owej oficjalnej drogi przedstawiciele centrum danych nie wpuszcz\u0105 nikogo dalej ni\u017c do bramy.<\/p>\n

Co wi\u0119cej, w wi\u0119kszo\u015bci kraj\u00f3w nie mo\u017cna po prostu zabra\u0107 dzia\u0142aj\u0105cego sprz\u0119tu. Na przyk\u0142ad w Rosji do ko\u0144ca 2018 roku, zgodnie z artyku\u0142em 183 Kodeksu post\u0119powania karnego Federacji Rosyjskiej, cz\u0119\u015b\u0107 3.1, gwarantowano, \u017ce przy przeprowadzaniu zaj\u0119cia, zarekwirowanie no\u015bnik\u00f3w informacji elektronicznej odbywa si\u0119 w obecno\u015bci specjalisty. Na wniosek prawowitego w\u0142a\u015bciciela zajmowanych no\u015bnik\u00f3w informacji lub posiadacza informacji na nich zawartych, specjalista bior\u0105cy udzia\u0142 w zaj\u0119ciu, w obecno\u015bci \u015bwiadk\u00f3w, wykonuje kopiowanie informacji na inne no\u015bniki.<\/p>\n

Niestety, ten punkt z artyku\u0142u zosta\u0142 p\u00f3\u017aniej usuni\u0119ty.<\/p>\n

Tajny i nieoficjalny<\/h2>\n

\nTo ju\u017c teren dzia\u0142a\u0144 specjalnie przeszkolonych os\u00f3b z NSA, FBI, MI5 i innych agencji o skr\u00f3cie trzech liter. Najcz\u0119\u015bciej prawodawstwo kraj\u00f3w przewiduje bardzo szerokie uprawnienia dla takich struktur. Co wi\u0119cej, prawie zawsze istnieje zakaz ustawowy wszelkiego bezpo\u015bredniego i po\u015bredniego ujawniania samego faktu wsp\u00f3\u0142pracy z tego typu organami \u015bcigania. W Rosji istniej\u0105 podobne normy prawne<\/a><\/noindex>.<\/p>\n

W przypadku podobnego zagro\u017cenia dla twoich danych, prawdopodobnie zostan\u0105 one wykradzione. Opr\u00f3cz prostego zaj\u0119cia mog\u0105 by\u0107 wykorzystane wszystkie nieoficjalne metody, backdoory, luki bezpiecze\u0144stwa, ekstrakcja danych z pami\u0119ci operacyjnej twojej maszyny wirtualnej i inne przyjemno\u015bci. Host b\u0119dzie zobowi\u0105zany do maksymalnej pomocy specjalistom z organ\u00f3w \u015bcigania.<\/p>\n

Niedba\u0142y pracownik<\/h2>\n

\nNie wszyscy ludzie s\u0105 r\u00f3wni. Niekt\u00f3rzy z administrator\u00f3w centrum danych mog\u0105 postanowi\u0107 dodatkowo zarobi\u0107, sprzedaj\u0105c twoje dane. To, co si\u0119 wydarzy dalej, zale\u017cy od jego uprawnie\u0144 i dost\u0119pu. Najbardziej nieprzyjemne jest to, \u017ce administrator z dost\u0119pem do konsoli wirtualizacji ma pe\u0142n\u0105 kontrol\u0119 nad twoimi maszynami. Zawsze mo\u017cna zrobi\u0107 migawk\u0119 wraz z ca\u0142\u0105 zawarto\u015bci\u0105 pami\u0119ci RAM i p\u00f3\u017aniej powoli j\u0105 przeanalizowa\u0107.<\/p>\n

VDS<\/h2>\n

\nWi\u0119c masz maszyn\u0119 wirtualn\u0105, kt\u00f3r\u0105 przydzieli\u0142 ci hoster. Jak mo\u017cesz zorganizowa\u0107 szyfrowanie, aby si\u0119 zabezpieczy\u0107? W rzeczywisto\u015bci, praktycznie nie ma na to sposobu. Co wi\u0119cej, nawet obcy dedykowany serwer mo\u017ce okaza\u0107 si\u0119 w ko\u0144cu maszyn\u0105 wirtualn\u0105, do kt\u00f3rej pod\u0142\u0105czone s\u0105 odpowiednie urz\u0105dzenia.<\/p>\n

Je\u015bli celem zdalnego systemu jest nie tylko przechowywanie danych, ale tak\u017ce wykonywanie oblicze\u0144, to jedyn\u0105 opcj\u0105 pracy z nieufn\u0105 maszyn\u0105 b\u0119dzie wdro\u017cenie szyfrowania homomorficznego<\/a><\/noindex>. System b\u0119dzie jednak przeprowadza\u0107 obliczenia bez mo\u017cliwo\u015bci zrozumienia, co dok\u0142adnie robi. Niestety, koszty realizacji takiego szyfrowania s\u0105 na tyle wysokie, \u017ce praktyczne zastosowanie ogranicza si\u0119 aktualnie do bardzo w\u0105skich zada\u0144.<\/p>\n

Dodatkowo, w momencie uruchomienia maszyny wirtualnej i wykonywania jakichkolwiek dzia\u0142a\u0144, wszystkie zaszyfrowane wolumeny s\u0105 w stanie dost\u0119pnym, w przeciwnym razie system operacyjny po prostu nie b\u0119dzie m\u00f3g\u0142 z nimi pracowa\u0107. To oznacza, \u017ce maj\u0105c dost\u0119p do konsoli wirtualizacji, zawsze mo\u017cesz zrobi\u0107 migawk\u0119 dzia\u0142aj\u0105cej maszyny i wyci\u0105gn\u0105\u0107 wszystkie klucze z pami\u0119ci RAM.<\/p>\n

Wielu dostawc\u00f3w pr\u00f3bowa\u0142o zorganizowa\u0107 sprz\u0119towe szyfrowanie RAM, aby nawet hoster nie mia\u0142 dost\u0119pu do tych danych. Na przyk\u0142ad technologia Intel Software Guard Extensions, kt\u00f3ra organizuje obszary w wirtualnej przestrzeni adresowej, chronione przed odczytem i zapisem zewn\u0119trznym przez inne procesy, w tym j\u0105dro systemu operacyjnego. Niestety, nie mo\u017cesz w pe\u0142ni zaufa\u0107 tym technologiom, poniewa\u017c b\u0119dziesz ograniczony swoj\u0105 wirtualn\u0105 maszyn\u0105. Ponadto istniej\u0105 ju\u017c gotowe przyk\u0142ady udanej ataku<\/a><\/noindex> na t\u0119 technologi\u0119. A mimo to, szyfrowanie maszyn wirtualnych nie jest tak bezsensowne, jak mo\u017ce si\u0119 wydawa\u0107.<\/p>\n

Szyfrujemy dane na VDS<\/h2>\n

\nNa pocz\u0105tek zastrzegam, \u017ce wszystko, co zrobimy poni\u017cej, nie zapewnia pe\u0142nej ochrony. Hypervisor pozwoli na zrobienie potrzebnych kopii bez zatrzymywania us\u0142ugi i niewidocznie dla Ciebie.<\/p>\n